я бы посоветовал в первую же инструкцию по пользованию системой включить слова, что действия логируются и виновным в случае чего считается тот чей логин зафиксирован. Поэтому меняйте пароль при входе и никому не сообщайте.
как-то так. И главное под подпись об ознакомлении. и все. Сами будут спрашивать как сменить. Потому что, если пользовательо сменит и повесит скажем на мониоре - это тоже не выход
